ISO27001详细介绍

1、2021-12-4ISO/IEC 27001ISO/IEC 27001简介简介Page 2 目录目录l背景介绍背景介绍lISO/IEC 17799lISO/IEC 27001p重点内容p重点章节p认证流程l17799&27001Page 3 BS7799BS7799lBS7799 是英国标准协会（是英国标准协会（British Standards Institute，BSI）针对信息安全管理而制）针对信息安全管理而制定的一个标准定的一个标准。l1995 年，年，BS7799-1:1995信息安全管理实施细则信息安全管理实施细则首次出版，它提供了一套综合首次出版，它提供了一套综合性的、由

2、信息安全最佳惯例构成的实施细则，目的是为确定各类信息系统通用控制性的、由信息安全最佳惯例构成的实施细则，目的是为确定各类信息系统通用控制提供唯一的参考基准。提供唯一的参考基准。l1998 年，年，BS7799-2:1998信息安全管理体系规范信息安全管理体系规范公布，这是对公布，这是对BS7799-1 的有效的有效补充，它规定了信息安全管理体系的要求和对信息安全控制的要求，是一个组织信补充，它规定了信息安全管理体系的要求和对信息安全控制的要求，是一个组织信息安全管理体系评估的基础，可以作为认证的依据。息安全管理体系评估的基础，可以作为认证的依据。l1999 年年4 月，月，BS7799 的两个

3、部分被重新修订和扩展，形成了一个完整版的的两个部分被重新修订和扩展，形成了一个完整版的BS7799:1999。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和。新版本充分考虑了信息处理技术应用的最新发展，特别是在网络和通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括通信领域。除了涵盖以前版本所有内容之外，新版本还补充了很多新的控制，包括电子商务、移动计算、远程工作等。电子商务、移动计算、远程工作等。Page 4ISO/IEC 27002(17799)l2000 年年12 月，国际标准化组织月，国际标准化组织ISO/IEC JTC 1/SC27 工作组认可工作组

4、认可BS7799-1:1999，正式将其转化为国际标准，即所颁布的，正式将其转化为国际标准，即所颁布的ISO/IEC 17799:2000信息技术信息技术信息安全管理实施细则信息安全管理实施细则。l2005 年年6 月，月，ISO/IEC 17799:2000 经过改版，形成了新的经过改版，形成了新的ISO/IEC 17799:2005，新版本较老版本无论是组织编排还是内容完整性上都，新版本较老版本无论是组织编排还是内容完整性上都有了很大增强和提升。有了很大增强和提升。lISO/IEC 17799 :2005已更新并在已更新并在2007年年 7 月月1日正式发布为日正式发布为 ISO/IEC

5、27002:2005，这次更新只在于标准上的号码，这次更新只在于标准上的号码, 内容并没有改变。内容并没有改变。Page 5ISO/IEC 27001l2002 年，年，BSI 对对BS7799:2-1999 进行了重新修订，正式引入进行了重新修订，正式引入PDCA 过过程模型，程模型，2004 年年9 月月5 日，日，BS7799-2:2002 正式发布。正式发布。l2005年，年，BS7799-2:2002 终于被终于被ISO 组织所采纳，于同年组织所采纳，于同年10 月推出月推出了了ISO/IEC 27001:2005。Page 6对应国内标准l大陆大陆p2005年6月15日，我国发布了

6、国家标准信息安全管理实用规则(GB/T 19716-2005)。该标准修改采用了ISO/IEC 17799:2000标准。p2008年6月19日， GB/T 19716-2005作废，改为GB/T 22081-2008 。l台湾省台湾省p在台湾，BS7799-1:1999 被引用为CNS 17799，而BS7799-2:2002 则被引用为CNS 17800。Page 7 目录目录l背景介绍背景介绍lISO/IEC 17799lISO/IEC 27001p重点内容p重点章节p认证流程l17799&27001Page 817799标准内容lISO/IEC 17799:2005版包括版包括

7、11 个方面、个方面、39 个控制目标和个控制目标和133 项控制措施项控制措施p1) 安全方针安全方针7) 访问控制访问控制p2) 信息安全组织信息安全组织8) 信息系统获取、开发和维护信息系统获取、开发和维护p3) 资产管理资产管理9) 信息安全事故管理信息安全事故管理p4) 人力资源安全人力资源安全10) 业务连续性管理业务连续性管理p5) 物理和环境安全物理和环境安全11) 符合性符合性p6) 通信和操作管理通信和操作管理Page 917799:2000 Vs 17799:2005lISO/IEC 17799:2005版的内容与版的内容与2000版相比，新增加了版相比，新增加了17 项

8、控制，项控制，在在客户往来安全、资产属主定义、人员离职管理、第三方服务交付客户往来安全、资产属主定义、人员离职管理、第三方服务交付管理、漏洞管理、取证管理、漏洞管理、取证等方面对原标准做了全新阐释或补充。去掉等方面对原标准做了全新阐释或补充。去掉了原标准中的了原标准中的9 项控制，这些控制或者是不再适应信息通信技术的项控制，这些控制或者是不再适应信息通信技术的发展，或者是已经并入到新标准的其他控制内容中了。发展，或者是已经并入到新标准的其他控制内容中了。Page 1017799的适用性l本实用规则可认为是组织开发其详细指南的起点。对一个组织来说，本实用规则可认为是组织开发其详细指南的起点。对一

9、个组织来说，本实用规则中的控制措施和指南本实用规则中的控制措施和指南并非全部适用并非全部适用，此外，很可能还需，此外，很可能还需要本标准中要本标准中未包括未包括的另外的控制措施和指南。为便于审核员和业务的另外的控制措施和指南。为便于审核员和业务伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件时，伙伴进行符合性检查，当开发包含另外的指南或控制措施的文件时，对本标准中条款的相互参考可能是有用的。对本标准中条款的相互参考可能是有用的。l（引用自引用自ISO/IEC 17799:2005中中 “0.8 开发你自己的指南开发你自己的指南” ）Page 11信息安全起点l实施细则中有些内容可能并不

10、使用于所有组织和企业，但是有些措施可以使用于大实施细则中有些内容可能并不使用于所有组织和企业，但是有些措施可以使用于大多数的组织，他们被成为多数的组织，他们被成为“信息安全起点信息安全起点”。p从法律的观点看，根据适用的法律，对某个组织重要的控制措施包括：从法律的观点看，根据适用的法律，对某个组织重要的控制措施包括：na) 数据保护和个人信息的隐私（见数据保护和个人信息的隐私（见15.1.4）；）；nb) 保护组织的记录（见保护组织的记录（见15.1.3）；）；nc) 知识产权（见知识产权（见15.1.2）。）。p被认为是信息安全的常用惯例的控制措施包括：被认为是信息安全的常用惯例的控制措施包

11、括：na) 信息安全方针文件（见信息安全方针文件（见5.1.1）；）；nb) 信息安全职责的分配（见信息安全职责的分配（见6.1.3）；）；nc) 信息安全意识、教育和培训（见信息安全意识、教育和培训（见8.2.2）；）；nd) 应用中的正确处理（见应用中的正确处理（见12.2）；）；ne) 技术脆弱性管理（见技术脆弱性管理（见12.6）；）；nf) 业务连续性管理（见业务连续性管理（见14）；）；ng) 信息安全事故和改进管理（见信息安全事故和改进管理（见13.2）。）。l这些控制措施适用于大多数组织和环境。这些控制措施适用于大多数组织和环境。l（引用自引用自ISO/IEC 17799:20

12、05中中 “0.6 信息安全起点信息安全起点” ）Page 12 目录目录l背景介绍背景介绍lISO/IEC 17799lISO/IEC 27001p重点内容p重点章节p认证流程l17799&27001Page 13ISMS(信息安全管理系统)lISO/IEC 27001:2005版通篇就在讲一件事，版通篇就在讲一件事，ISMS(信息安全管理系统信息安全管理系统)。l本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系本标准用于为建立、实施、运行、监视、评审、保持和改进信息安全管理体系（InformationSecurity Management System，简称，简

13、称ISMS）提供模型。采用）提供模型。采用ISMS应当应当是一个组织的一项战略性决策。一个组织的是一个组织的一项战略性决策。一个组织的ISMS的设计和实施受其需要和目标、的设计和实施受其需要和目标、安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统安全要求、所采用的过程以及组织的规模和结构的影响，上述因素及其支持系统会不断发生变化。按照组织的需要实施会不断发生变化。按照组织的需要实施ISMS，是本标准所期望的，例如，简单的，是本标准所期望的，例如，简单的情况可采用简单的情况可采用简单的ISMS解决方案。解决方案。 本标准可被内部和外部相关方用于一致性评估。本标准可被内部和外

14、部相关方用于一致性评估。l（引用自引用自ISO/IEC 27001:2005中中 “0.1 总则总则” ）Page 14PDCA（戴明环）lPDCA（Plan、Do、Check 和和Act）是管理学惯用的一个过程模型，最早是由休哈特）是管理学惯用的一个过程模型，最早是由休哈特（WalterShewhart）于）于19 世纪世纪30 年代构想的，后来被戴明（年代构想的，后来被戴明（Edwards Deming）采纳、宣传）采纳、宣传并运用于持续改善产品质量的过程当中。并运用于持续改善产品质量的过程当中。p1、P（Plan）-计划，确定方针和目标，确定活动计划；计划，确定方针和目标，确定活动计划；

15、p2、D（Do）-执行，实地去做，实现计划中的内容；执行，实地去做，实现计划中的内容；p3、C（Check）-检查，总结执行计划的结果，注意效检查，总结执行计划的结果，注意效果，找出问题；果，找出问题；p4、A（Action）-行动，对总结检查的结果进行处理，行动，对总结检查的结果进行处理，成功的经验加以肯定并适当推广、标准化；失败的教成功的经验加以肯定并适当推广、标准化；失败的教训加以总结，以免重现，未解决的问题放到下一个训加以总结，以免重现，未解决的问题放到下一个PDCA循环。循环。Page 15PDCA特点l 大环套小环，小环保大环，推动大循环大环套小环，小环保大环，推动大循环 pPDC

16、A循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整个企业和循环作为质量管理的基本方法，不仅适用于整个工程项目，也适应于整个企业和企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，都有自己的企业内的科室、工段、班组以至个人。各级部门根据企业的方针目标，都有自己的PDCA循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体循环，层层循环，形成大环套小环，小环里面又套更小的环。大环是小环的母体和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方和依据，小环是大环的分解和保证。各级部门的小环都围绕着企业的总目标朝着同一方向转动。通过循

17、环把企业上下或工程项目的各项工作有机地联系起来，彼此协同，互相向转动。通过循环把企业上下或工程项目的各项工作有机地联系起来，彼此协同，互相促进。以上特点。促进。以上特点。 Page 16PDCA特点(续)l 不断前进、不断提高不断前进、不断提高 p PDCA循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步，循环就像爬楼梯一样，一个循环运转结束，生产的质量就会提高一步，然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺然后再制定下一个循环，再运转、再提高，不断前进，不断提高，是一个螺旋式上升的过程。旋式上升的过程。PDCA质量水平质量水平螺旋上升的螺旋上升的PDCAP

18、DCAPage 17PDCA和ISMS的结合Page 18与其他标准的兼容性l本标准与本标准与GB/T 19001-2000及及GB/T 24001-1996相结合，以支持与相关管理相结合，以支持与相关管理标准一致的、整合的实施和运行。因此，一个设计恰当的管理体系可以标准一致的、整合的实施和运行。因此，一个设计恰当的管理体系可以满足所有这些标准的要求。表满足所有这些标准的要求。表C.1说明了本标准、说明了本标准、GB/T 19001-2000（ISO 9001:2000）和和GB/T 24001-1996（ISO14001:2004）的各条款之间的关系。的各条款之间的关系。l本标准的设计能够使

19、一个组织将其本标准的设计能够使一个组织将其ISMS与其它相关的管理体系要求结合与其它相关的管理体系要求结合或整合起来或整合起来。l（引用自引用自ISO/IEC 27001:2005中中 “0.3与其它管理体系的兼容性与其它管理体系的兼容性” ）l注：注：ISO 14001:2004环境管理体系规范及使用指南环境管理体系规范及使用指南 l ISO 9001:2000国际性质量管理标准国际性质量管理标准 Page 19与其他标准的兼容性(续)Page 20 目录目录l背景介绍背景介绍lISO/IEC 17799lISO/IEC 27001p重点内容p重点章节p认证流程l17799&2700

20、1Page 21重点章节l本标准的重点章节是本标准的重点章节是48章。章。 l前三章的内容结构如下所示：前三章的内容结构如下所示：引言引言0.1 总则0.2 过程方法0.3 与其他管理体系的兼容性1 范围范围1.1 总则1.2 应用2 规范性引用文件规范性引用文件3 术语和定义术语和定义Page 22第四章 信息安全管理体系l4.1 总要求总要求 一个组织应在其整体业务活动和所面临风险的环境下建立、实施、运行、监视、评审、保一个组织应在其整体业务活动和所面临风险的环境下建立、实施、运行、监视、评审、保持和改进文件化的持和改进文件化的ISMS。就本标准而言，使用的过程基于图。就本标准而言，使用的

21、过程基于图1所示的所示的PDCA模型。模型。l4. 2 建立和管理建立和管理ISMSp4.2.1 建立ISMS(PLAN)n定义ISMS 的范围n定义ISMS 策略n定义系统的风险评估途径n识别风险n评估风险n识别并评价风险处理措施n选择用于风险处理的控制目标和控制n准备适用性声明（SoA）n取得管理层对残留风险的承认，并授权实施和操作ISMSPDCAPage 23第四章 信息安全管理体系(续)p4.2.2 实施和运行ISMS(DO)n制定风险处理计划n实施风险处理计划n实施所选的控制措施以满足控制目标n实施培训和意识程序n管理操作n管理资源（参见5.2）n实施能够激发安全事件检测和响应的程序

22、和控制PDCAPage 24第四章 信息安全管理体系(续)p4.2.3 监控和评审ISMS(CHECK)n执行监视程序和控制n对ISMS 的效力进行定期复审n复审残留风险和可接受风险的水平n按照预定计划进行内部ISMS 审计n定期对ISMS 进行管理复审n记录活动和事件可能对ISMS 的效力或执行力度造成影响PDCAPage 25第四章 信息安全管理体系(续)p4.2.4 保持和改进ISMS(ACT)n对ISMS 实施可识别的改进n采取恰当的纠正和预防措施n与所有利益伙伴沟通n确保改进成果满足其预期目标PDCAPage 26第四章 信息安全管理体系(续)p4.3 文件要求n总则n文件控制n记录

23、控制ISO27001 标准所要求建立的ISMS 是一个文件化的体系，ISO27001 认证第一阶段就是进行文件审核，文件是否完整、足够、有效，都关乎审核的成败，所以，在整个ISO27001认证项目实施过程中，逐步建立并完善文件体系非常重要。Page 27第四章 信息安全管理体系(续)lISO27001 标准要求的标准要求的ISMS 文件体系应该是一个层次化的体系，通常是由四个层次构成的：文件体系应该是一个层次化的体系，通常是由四个层次构成的：l信息安全手册信息安全手册：该手册由信息安全委员会负责制定和修改，是对信息安全管理体系框架的整体描述，以此表：该手册由信息安全委员会负责制定和修改，是对信

24、息安全管理体系框架的整体描述，以此表明确定范围内明确定范围内ISMS 是按照是按照ISO27001 标准要求建立并运行的。信息安全手册包含各个一级文件。标准要求建立并运行的。信息安全手册包含各个一级文件。l一级文件一级文件：全组织范围内的信息安全方针，以及下属各个方面的策略方针等。一级文件至少包括（可能不限：全组织范围内的信息安全方针，以及下属各个方面的策略方针等。一级文件至少包括（可能不限于此）：于此）：p信息安全方针信息安全方针p风险评估报告风险评估报告p适用性声明（适用性声明（SoA）l二级文件二级文件：各类程序文件。至少包括（可能不限于此）：各类程序文件。至少包括（可能不限于此）：p风

25、险评估流程风险评估流程风险管理流程风险管理流程风险处理计划风险处理计划管理评审程管理评审程序序p信息设备管理程序信息设备管理程序信息安全组织建设规定信息安全组织建设规定新设施管理程序新设施管理程序内部审核程序内部审核程序p第三方和外包管理规定第三方和外包管理规定信息资产管理规定信息资产管理规定工作环境安全管理规定工作环境安全管理规定介质处理与安全规定介质处理与安全规定p系统开发与维护程序系统开发与维护程序业务连续性管理程序业务连续性管理程序法律符合性管理规定法律符合性管理规定信息系统安全审计规定信息系统安全审计规定p文件及材料控制程序文件及材料控制程序安全事件处理流程安全事件处理流程l三级文件

26、三级文件：具体的作业指导书。描述了某项任务具体的操作步骤和方法，是对各个程序文件所规定的领域内：具体的作业指导书。描述了某项任务具体的操作步骤和方法，是对各个程序文件所规定的领域内工作的细化。工作的细化。l四级文件四级文件：各种记录文件，包括实施各项流程的记录成果。这些文件通常表现为记录表格，应该成为：各种记录文件，包括实施各项流程的记录成果。这些文件通常表现为记录表格，应该成为ISMS 得以持续运行的有力证据，由各个相关部门自行维护。得以持续运行的有力证据，由各个相关部门自行维护。Page 28第五章 管理职责l5.1 管理层责任管理层责任 说明管理层在ISMS 建设过程中应该承担的责任。l

27、5.2 对资源的管理对资源的管理 p5.2.1 资源提供 组织应该确定并提供ISMS 相关所有活动必要的资源p5.2.2 培训、意识和能力 通过培训，组织应该确保所有在ISMS 中承担责任的人能够胜任其职Page 29第六章 ISMS 内部审计l组织应该通过定期的内部审计来确定组织应该通过定期的内部审计来确定ISMS 的控制目标、控制、过程和程的控制目标、控制、过程和程序满足相关要求。序满足相关要求。Page 30第七章 ISMS 的管理评审l7.1 概要概要 管理层应该对组织的管理层应该对组织的ISMS 定期进行评审，确保其持续适宜、充分和有效。定期进行评审，确保其持续适宜、充分和有效。l7

28、.2 评审输入评审输入 评审时需要的输入资料，包括内审结果。评审时需要的输入资料，包括内审结果。l7.3 评审输出评审输出 评审成果，应该包含任何决策及相关行动。评审成果，应该包含任何决策及相关行动。Page 31第八章 ISMS 改进l8.1 持续改进持续改进 组织应该借助信息安全策略、安全目标、审计结果、受监视的事件分析、纠正性组织应该借助信息安全策略、安全目标、审计结果、受监视的事件分析、纠正性和预防性措施、管理复审来持续改进和预防性措施、管理复审来持续改进ISMS 的效力。的效力。l8.2 纠正措施纠正措施 组织应该采取措施，消除并实施和操作组织应该采取措施，消除并实施和操作ISMS

29、相关的不一致因素，避免其再次出相关的不一致因素，避免其再次出现。现。l8.3 预防措施预防措施 为了防止将来出现不一致，应该确定防护措施。所采取的预防措施应与潜在问题为了防止将来出现不一致，应该确定防护措施。所采取的预防措施应与潜在问题的影响相适宜。的影响相适宜。Page 32 目录目录l背景介绍背景介绍lISO/IEC 17799lISO/IEC 27001p重点内容p重点章节p认证流程l17799&27001Page 33建设ISMSl第一步工作是建设第一步工作是建设ISMS系统，这部分工作可以由组织或者公司自己进行，系统，这部分工作可以由组织或者公司自己进行，前提是该组织拥有专业

30、的人才。大部分的公司不具备这样的能力，这就前提是该组织拥有专业的人才。大部分的公司不具备这样的能力，这就需要一些专业的咨询公司或者安全公司等有需要一些专业的咨询公司或者安全公司等有27001专业实施经验的公司协专业实施经验的公司协助进行。助进行。l建设建设ISMS的工作不是一个纯粹的的工作不是一个纯粹的IT建设，而是建立一个循序渐进的体系，建设，而是建立一个循序渐进的体系，需要公司的全员配合，特别是公司领导层重视，需要成立专门的团队来需要公司的全员配合，特别是公司领导层重视，需要成立专门的团队来负责这项工作。负责这项工作。Page 34建设ISMS（续）l文件化很重要，针对标准文件化很重要，针

31、对标准4.3的内容，各个层次的文件和记录都需要编写的内容，各个层次的文件和记录都需要编写完备，这些工作也可以由第三方来协助进行。完备，这些工作也可以由第三方来协助进行。l风险评估，培训等工作的进行也需要在咨询公司的协助下进行。风险评估，培训等工作的进行也需要在咨询公司的协助下进行。lISMS初步建立之后，需要运行一段时间，针对出现的问题进行修正。初步建立之后，需要运行一段时间，针对出现的问题进行修正。Page 35提出申请l待待ISMS稳定运行一段时间之后，可以考虑提出审核申请。可以进行稳定运行一段时间之后，可以考虑提出审核申请。可以进行27001审核的机构在国内有审核的机构在国内有BSI(英

32、国标准化协会英国标准化协会)和和DNV(挪威船级社挪威船级社) 等。等。Page 36认证审核预审l预审核（预审核（Pre-assessment Audit）也称预审，是在第一阶段审核之前执行的）也称预审，是在第一阶段审核之前执行的一种一种非强制性要求的非正式审核非强制性要求的非正式审核。从本质上看，预审是正式审核的预演。从本质上看，预审是正式审核的预演或排练。许多组织都没有采用预审核。或排练。许多组织都没有采用预审核。 l预审是审核员通过使用预审是审核员通过使用“差距分析差距分析”方法，分析和检查组织的方法，分析和检查组织的ISMS与与ISO/IEC 27001：2005要求的差距，包括要求

33、的差距，包括(但不仅限于但不仅限于)：p分析ISMS方针与程序，组织当前的业务保护情况；p检查ISMS是否与其实际业务融合一起； p检查ISMS是否符合正式审核的基本条件；p检查组织还有哪些未能按照标准要求进行运行的领域，包括员工的安全意识和员工是否知道ISMS等； p检查ISMS运行的时间长度。注：预审也是要收费的！注：预审也是要收费的！Page 37认证审核桌面审核强制性强制性ISMSISMS文件文件说明说明(1) ISMS方针文件，包括ISMS的范围根据ISO/IEC 27001:2005标准“4.3.1”a)和b)的要求。(2) 风险评估程序根据ISO/IEC 27001:2005标准

34、“4.3.1”d)和e)的要求, 要有形成文件的“风险评估方法的描述”和“风险评估报告”。为了减少文件量，可创建一个风险评估程序。该程序文件应包括“风险评估方法的描述”，而其运行的结果应产生风险评估报告。(3) 风险处理程序根据ISO/IEC 27001:2005标准“4.3.1”f)的要求, 要有形成文件的“风险处理计划”。因此，可创建一个风险处理程序。该程序文件运行的结果应产生风险处理计划。(4) 文件控制程序根据ISO/IEC 27001:2005标准的“4.3.2文件控制”的要求，要有形成文件的“文件控制程序”。 (5) 记录控制程序根据ISO/IEC 27001:2005标准的“4.3.3记录控制”的要求，要有形成文件的“记录控制程序”。(6) 内部审核程序根据ISO/IEC 27001:2005标准的“6内部ISMS审核”的要求，要有形成文件的“内部审核程序”。(7) 纠正措施与预防措施程序根据ISO/IEC 27001:2005标准的“8.2.2纠正措施纠正措施”的要求，要有形成文件的“纠正措施程序”。根据 “8.3预防措施”的要求，要有形成文件的“预防措施程序”。“纠正措施程序”和“预防措施程序”通常可以合并成一个文件。(8) 控制措施